| OCSP | 在线证书状态协议，比 CRL 实时且轻量 |
|---|---|
| Stapling | 服务器缓存 OCSP 响应，握手时附带（RFC 6066） |
| Must-Staple | 证书扩展要求必须装订，强化吊销检查 |
检查装订
检查装订
openssl s_client -connect example.com:443 -status </dev/null 2>/dev/null | grep -A3 -i 'OCSP response'
# nginx 配置: ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate ...装订失败（如 CA 的 OCSP 不可达）时 Nginx 会静默跳过，需在日志里开 debug 或周期性人工验证。